بالإضافة إلى مجرد إجراء ping للنطاقات التي تستخدمها Cyber Crucible للتأكد من أن جهازك الطرفي يمكنه الوصول إلى جميع عناوين الشبكة الصحيحة، يتضمن مثبّت وكيل Cyber Crucible وسيطة اختبار تضمن إمكانية إجراء اتصال TLS/SSL صالح في كلا الاتجاهين مع جميع الخوادم المطلوبة.

ببساطة أضف --test-connection إلى تنفيذ المثبّت، مع التأكد من تضمين معرّف (معرّفات) المجموعة ورموز OAuth اللازمة لإجراء المصادقة. يظهر في لقطة الشاشة أعلاه التعديل الوحيد اللازم على نص .bat المقدَّم، وناتج ناجح.

على الرغم من أن جميع عمليات الكشف السلوكي والحماية الخاصة بعميل Cyber Crucible تحدث على نقطة النهاية، دون الحاجة إلى إرسال عينات إلى السحابة للتحليل، فإن عميل نقطة النهاية لا يزال يتطلب اتصالاً بخادم لتلقي معلومات الترخيص، وإعدادات التكوين، وتحديثات البرامج، وما إلى ذلك.

إذا كانت شبكتك مقيدة إلى الحد الذي لا يسمح بالاتصالات بنطاقات عناوين IP التي تستضيف عليها خوادم Cyber Crucible، فقد تحتاج إلى تكوين وكيل (Proxy) للسماح للعميل (فقط) بالوصول إلى خادمه للتثبيت. راجع كيفية إدارة إعدادات الوكيل (Proxy) للحصول على معلومات حول تكوين العميل.

ما نوع الوكيل (Proxy) الذي يمكنني استخدامه؟

اعتبارًا من الإصدار 4.4.6.3 لعميل Cyber Crucible، تدعم إعدادات الوكيل (Proxy) بروتوكول Socks5. لا يوجد قيد على مكان استضافة الخادم (سواء داخل الموقع أو خارجه)، طالما أن قيود الشبكة تسمح للعملاء بالوصول إليه. فيما يلي مثال توضيحي لتكوين وكيل (Proxy) بسيط حيث يتم استضافة خادم Socks5 داخل الشبكة المقيدة، ولا يُسمح له إلا بالاتصال بجهاز خارجي يقوم بتمرير حركة المرور عبر نفق (Tunnel).

يتيح هذا الإعداد للعملاء الاتصال بخادمهم (خوادمهم)، مع الحفاظ على سياسة الشبكة. ولا يتطلب سوى قاعدة واحدة تسمح لمضيف Socks5 بالوصول إلى خادم الوكيل (Proxy) الخارجي الخاص به عبر منفذ واحد (ssh). وهذا يضمن ليس فقط أن تكون جميع حركة المرور عبر المنفذ 443، بل أيضًا أن تكون مغلفة بشكل مزدوج داخل SSH قبل مغادرة الشبكة، ولا يتطلب أي إعادة توجيه للمنافذ الواردة.

تمر البيانات التي يجمعها وكيل Cyber Crucible بطبقات متعددة من التصفية، من أجل استبعاد الضوضاء الناتجة عن وجود كمية كبيرة جدًا من القياس عن بُعد الخام. يتم تقليص البيانات الخام الناتجة عن أجهزة استشعار النواة (kernel sensors) [عامل التصفية رقم 1] لتقليل كل من استخدام الذاكرة على نقطة النهاية، وعرض النطاق الترددي للشبكة لكل وكيل. بعد ذلك، ستقوم واجهة REST API بربط القياس عن بُعد الخام للعمليات/نقاط النهاية التي تتلقاها بالاستجابات الآلية، بحيث يمكن للمحلل اختيار عرض البيانات ذات الصلة فقط [عامل التصفية رقم 2].

كما هو موضح في الشكل أعلاه، قد تنتج نقاط نهاية محطات العمل لدى العميل المتوسط عدة جيجابايتات من بيانات المستشعر الخام على مدى 24 ساعة، في حين أن بضعة ميغابايتات فقط منها ستكون ذات صلة بتنبيه مركز العمليات الأمنية (SOC) في حال محاولة شن هجوم.

إلغاء تثبيت عدة عملاء دفعة واحدة أمر بسيط.

انتقل إلى صفحة العملاء (Agents).

نوصي باستخدام عوامل التصفية، مثل اسم الجهاز، أو المجموعة، أو عنوان IP، أو تصفية الإصدار، لعرض أكبر عدد ممكن من العملاء على الشاشة. يكون هذا مفيدًا بشكل خاص للمستخدمين الذين لديهم مئات أو آلاف العملاء في مجموعة واحدة.

هنا، استخدمنا مفتاح Shift، أثناء النقر على 3 صفوف، لتحديد ثلاثة عملاء.

يوجد زر إلغاء تثبيت جميع العملاء المحددين (Uninstall All Selected Agents) في أعلى يسار الشبكة.

بعد التحقق من الصلاحيات على الخادم، والتأكد من أن لديك الإذن اللازم في مجموعات العملاء، سيتم إصدار أوامر إلغاء التثبيت.

يتلقى العملاء أمر إلغاء تثبيت موقّعًا رقميًا. يُستخدم التوقيع من قبل العملاء للتحقق من أن الأمر صدر بالفعل من Cyber Crucible، وليس من جهة إجرامية تحاول إزالة برنامج الحماية الخاص بك.

بمجرد أن يتحقق العملاء من صحة الأمر، سيقومون بتجهيز النظام لإلغاء التثبيت عند إعادة التشغيل.

سيظهر في عمود الانتباه (Attention) الإدخال "جارٍ إلغاء التثبيت" (Uninstall in Progress) مع زر إلغاء عملية إلغاء التثبيت (Cancel Uninstall) في الخلية.

بمجرد إعادة تشغيل الجهاز، يتحقق العميل من أن عملية إلغاء التثبيت قيد التنفيذ، ويقوم بإزالة جميع الملفات.

من الجدير بالذكر أن العميل سيؤكد "تحية أخيرة" قبل إلغاء التثبيت بشكل كامل، لذا قد يظل العملاء موجودين لفترة قصيرة بعد إعادة التشغيل. يعود ذلك إلى أن بعض بيئات الشبكة لا تعمل بشكل صحيح لمدة تصل إلى 30 ثانية بعد ظهور سطح المكتب. لاحظ أنه بمجرد اكتمال عمليات إلغاء التثبيت، تتم إزالة التراخيص تلقائيًا من العملاء.

انتقل إلى صفحة العملاء (Agents).

حدد موقع العميل المطلوب، وانقر على أيقونة سلة المهملات في عمود اسم العميل (Agent Name):

مقدمة

تم تصميم Cyber Crucible ليعمل دون مقاطعة المستخدمين النهائيين أو الموظفين، بينما يقوم بإشعار مستخدمي لوحة المعلومات المختارين بهدوء (عادةً أعضاء فرق تقنية المعلومات والأمن المختارين) بالاستجابات التلقائية.

لا تلتقط الكثير من محاكيات برامج الفدية أو البرمجيات الخبيثة سلوك المخترق بدقة. وعلى الرغم من أن ذلك يسبب مشكلات لأدوات مثل Cyber Crucible التي تحدد (بشكل صحيح) أن المحاكاة إيجابية كاذبة، فإن ذلك ليس بالضرورة أمرًا سيئًا.

يقوم بعض البائعين فعليًا ببناء محركات الكشف الخاصة بهم حول هذه المحاكيات لبعض وظائف الكشف لديهم، لضمان اجتياز أي اختبارات يجريها العملاء بنجاح باهر.

تحمل إجراءات البرمجيات الخبيثة الحقيقية مثل تشفير برامج الفدية خطر تشفير أو إتلاف البيانات بشكل غير قابل للاسترداد. وفي Cyber Crucible، شهدنا حتى حالات قامت فيها برامج الفدية بتفعيل برمجيات خبيثة أخرى سرًا على الشبكة، أو القيام بإجراءات أخرى قد تضر بالشركة التي تحاول اختبار Cyber Crucible.

لذا، فأنت لا ترغب في استخدام برمجيات خبيثة، ولا ترغب في استخدام محاكاة دقيقة لدرجة قد تؤدي عن طريق الخطأ إلى إتلاف بياناتك.

اختبار Cyber Crucible

هناك طريقة سهلة لاختبار Cyber Crucible دون استخدام برمجيات خبيثة أو محاكاة واقعية لدرجة تعرّض بياناتك أو بيانات شركتك للخطر.

يقوم Cyber Crucible بتقييم عمليات الوصول إلى الهوية الرقمية في كل جزء من أجزاء الثانية على مدار اليوم. يتم تخزين الكثير من هذه الهويات الرقمية في المتصفحات - ولهذا السبب يضع المهاجمون متصفحات الويب في مقدمة قائمة أهدافهم الآلية.

سينتج عن تحليل السلوك الخاص بوصول الهوية في Cyber Crucible واحدة من ثلاث استجابات:

1. عدم اتخاذ أي إجراء

2. إخفاء البيانات

   1. تطبيق شرعي معروف يجتاز جميع فحوصات الذاكرة والنواة (kernel)، ولكنه لا يحتاج إلى الوصول إلى بيانات هوية معينة - مثال: مستكشف ملفات Windows غير المستغل

3. تعليق العملية

   1. تطبيق شرعي معروف كان من المفترض أن يكون له حق الوصول إلى بيانات الهوية ولكنه تعرض للاختراق، أو

   2. تطبيق غريب

فيما يلي موقعان شائعان لدى مستخدمي Windows:

في هذه الحالة، اسم مستخدم Windows هو "denni"، وهذه هي المواقع التي يتم فيها تخزين بيانات الجلسة. قد تجد أن المتغير %LOCALAPPDATA% يعمل لديك إذا كنت لا ترغب في معرفة اسم المستخدم.

• C:\Users\denni\AppData\Local\Google\Chrome\User Data\Default\Sessions

  • %LOCALAPPDATA%\Google\Chrome\User Data\Default\Sessions

• C:\Users\denni\AppData\Local\Microsoft\Edge\User Data\Default\Sessions

  • %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Sessions

العرض بدون تثبيت Cyber Crucible

لنلقِ نظرة أولًا على شكل أحد هذه المجلدات باستخدام Explorer.exe، دون تثبيت Cyber Crucible.

هنا، نرى عدة جلسات Chrome ضمن ملف تعريف Google Chrome "الافتراضي".

تحتوي هذه المعلومات عادةً على معلومات حساسة قد يرغب المهاجم في اختطاف جلساتها مع برامج مهمة مثل بوابة إدارة تقنية المعلومات، أو الخدمات المصرفية، أو البريد الإلكتروني، أو أدوات التخزين مثل Google Drive أو Dropbox.

العرض مع تثبيت Cyber Crucible

بعد تثبيت Cyber Crucible، يمكن إجراء اختبار سريع، دون استخدام برمجيات خبيثة أو أي نوع من التقنيات الإجرامية أو إساءة استخدام معدات تقنية المعلومات.

في هذه الحالة، يُستخدم نفس موقع تخزين جلسة المتصفح:

• C:\Users\denni\AppData\Local\Google\Chrome\User Data\Default\Sessions

  • %LOCALAPPDATA%\Google\Chrome\User Data\Default\Sessions

• C:\Users\denni\AppData\Local\Microsoft\Edge\User Data\Default\Sessions

  • %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Sessions

يقوم Cyber Crucible فور تثبيته مباشرة بحظر الوصول إلى البيانات الموجودة في ذلك المجلد.

يُرجى ملاحظة أن هذه هي نفس عملية Explorer التي كانت تعمل بالفعل عند التثبيت، لذا فإن البرنامج الذي كان يعمل قد تم إلغاء وصوله فجأة على مستوى "القرص الصلب" أو طبقة النواة (kernel). حتى البرامج، سواء كانت حميدة أو مستغَلة أو خبيثة وتعمل بالفعل، يتم تقييمها بشكل صحيح بواسطة Cyber Crucible.

رؤية اختبارك في لوحة معلومات Cyber Crucible

يوجد عدد كبير من عمليات الوصول إلى بيانات الهوية في النظام أثناء تشغيله، في جميع الأوقات.

أدت البرمجيات كخدمة (Software as a Service) والبرامج القائمة على السحابة إلى ظهور العديد من المواقع الإلكترونية والتطبيقات ذات المحتوى المحدود على الموقع نفسه، بينما يتواصل المتصفح (أو المتصفح المدمج بالنسبة للتطبيقات) باستمرار مع خوادم البيانات لملء جداول البيانات والجداول والرسوم البيانية ومحتوى وسائل التواصل الاجتماعي.

صفحة الوصول إلى الهوية

يتم إدراج عمليات الوصول إلى الهوية التي يُعتبر من المناسب أن يقوم Cyber Crucible بتعليق التطبيق المخالف بسببها في صفحة الوصول إلى الهوية.

هذه هي الحالات التي ينبغي فيها إيقاف البرنامج الذي يصل إلى بيانات الهوية، وليس فقط إخفاء البيانات.

في هذه الحالة، لم يتم إيقاف Explorer بعد العديد من الفحوصات التي أجراها Cyber Crucible. بدلاً من ذلك، تم إخفاء البيانات فقط.

لذلك، لا توجد أي انتهاكات للوصول إلى الهوية مدرجة هنا.

صفحة إخفاء الوصول إلى الهوية

يمتلك Cyber Crucible اختياريًا القدرة على إظهار الحالات لعملاء لوحة المعلومات التي تم فيها إخفاء بيانات الهوية، ولكن لم يتم فيها إيقاف البرنامج الذي يصل إليها.

لم يتم استغلال Explorer أو يكن ضارًا بأي شكل آخر في هذا الاختبار، بل كان فقط يصل إلى بيانات هوية ذات امتيازات عالية جدًا الخاصة بمتصفحي Chrome وEdge.

لا يملك معظم المستخدمين إمكانية الوصول إلى هذه المعلومات نظرًا للحمل الإضافي على أجهزة العملاء وشبكاتهم التي تنقل تلك البيانات إلى خوادم Cyber Crucible.

يُرجى الطلب إذا كنت ترغب في الحصول على هذا الوصول، ولكن يُرجى العلم أن النشاط الذي تراه ليس نشاطًا ضارًا، بل هو سلوكيات خصوصية بيانات الهوية التي يقوم بها Cyber Crucible من منظور الحوكمة والمخاطر والامتثال (GRC)، أو إنفاذ السياسات.

هنا، نرى في هذا الفيديو القصير أن Explorer تم منعه من عرض بيانات جلسة المتصفح، على الرغم من أن Explorer نفسه لم يتم مقاطعته.

يُرجى ملاحظة أن هذه الإمكانية متاحة فقط للعملاء بالإصدار 4.4.6.3 وما بعده

أين تجد إعداد تكوين الوكيل (Proxy) الحالي للمجموعة

يمكن للمستخدمين عرض إعداد تكوين خادم الوكيل الحالي للمجموعة الخاص بالعملاء ضمن هذه المجموعة، وذلك بالانتقال أولاً إلى صفحة المجموعات (Groups) الموجودة ضمن علامة التبويب الإدارة (Administration) في الشريط الجانبي.

يمكن العثور على إعداد تكوين خادم الوكيل الحالي للمجموعة في عمود “Proxy Server Config“ في الجدول.

إذا لم يكن لدى المجموعة تكوين خادم وكيل مفعّل، فسيظهر النص “Do Not Use Proxy“.

إذا كان لدى المجموعة تكوين خادم وكيل مفعّل، فسيظهر عنوان URL الخاص بتكوين الوكيل الحالي

كيفية تحديث مجموعة لتفعيل خادم وكيل (Proxy)

يمكن للمستخدمين تفعيل استخدام خادم وكيل للعملاء ضمن مجموعة، وذلك بالنقر أولاً على أيقونة إدارة تكوينات الوكيل في عمود “Proxy Server Config” في صفحة المجموعات. سيؤدي النقر على هذه الأيقونة إلى ظهور نافذة منبثقة يمكن للمستخدمين من خلالها إدارة تكوينات خادم الوكيل للمجموعة.

تُستخدم نافذة إدارة تكوين خادم الوكيل التي تظهر لعرض وإدارة تكوينات خادم الوكيل الخاصة بالمجموعة. يمكن للمستخدمين حفظ عدة تكوينات ضمن المجموعة، وتظهر جميع التكوينات المحفوظة في جدول هذه النافذة. يُرجى ملاحظة أن جميع تكوينات خادم الوكيل المحفوظة للمجموعة ستظهر أيضًا في نافذة تنزيل العميل (Download Agent).

لاختيار تكوين خادم وكيل للمجموعة، يجب أولاً إرسال التكوين عبر نموذج تكوين وكيل جديد (New Proxy Configuration Form). هذا النموذج مخفي افتراضيًا، انقر على مفتاح التبديل لعرضه.

بعد إرسال نموذج التكوين الجديد، سيظهر أدناه في جدول النافذة.

لاختيار تكوين وكيل ليستخدمه العملاء ضمن هذه المجموعة، حدد أولاً التكوين المطلوب، ثم انقر على أيقونة التعديل أعلى الجدول.

بعد النقر على أيقونة التعديل لتكوين الوكيل المطلوب، يتم الآن تحديث تكوين خادم الوكيل الحالي للمجموعة، ويمكن رؤيته في هذه النافذة وفي عمود “Proxy Server Config”. سيستخدم العملاء ضمن هذه المجموعة الآن تكوين الوكيل المحدث للمجموعة. يُرجى ملاحظة أنه إذا تلقى العميل تعليمات للتبديل إلى خادم وكيل غير قابل للوصول، فلن يتم التبديل حتى يصبح هذا الخادم قابلاً للوصول.

كيفية تحديث مجموعة لعدم استخدام وكيل (Proxy)

إذا كان لدى مجموعة خادم وكيل مفعّل ليستخدمه العملاء ضمن هذه المجموعة، ويريد المستخدمون تحديث المجموعة بحيث لا يستخدم العملاء ضمن هذه المجموعة وكيلاً، انتقل أولاً إلى صفحة المجموعات وحدد موقع المجموعة المطلوبة في الجدول.

ثم انقر على أيقونة إدارة تكوينات الوكيل في عمود “Proxy Server Config“. سيؤدي النقر على هذه الأيقونة إلى ظهور نافذة إدارة تكوين خادم الوكيل.

في هذه النافذة، انقر على أيقونة x لتحديث العملاء ضمن هذه المجموعة بحيث لا يستخدمون خادم وكيل ويتصلون بخوادمنا بشكل طبيعي. يُرجى ملاحظة أن تكوين الوكيل الحالي لن تتم إزالته من تكوينات الوكيل المحفوظة للمجموعة؛ هذه خطوة منفصلة موضحة في القسم أدناه.

بعد النقر على أيقونة x، سيتم تحديث النافذة لتعكس هذا التغيير، وسيظهر الآن في عمود “Proxy Server Config“ لهذه المجموعة النص “Do Not Use Proxy“.

كيفية إزالة تكوين وكيل (Proxy) محفوظ في مجموعة

لإزالة تكوين وكيل محفوظ لمجموعة، انتقل أولاً إلى صفحة المجموعات وحدد موقع المجموعة المطلوبة في الجدول.

ثم انقر على أيقونة إدارة تكوينات الوكيل في عمود “Proxy Server Config“. سيؤدي النقر على هذه الأيقونة إلى ظهور نافذة إدارة تكوين خادم الوكيل.

في هذه النافذة، انقر على تكوين الوكيل المحفوظ المطلوب إزالته لهذه المجموعة، ثم انقر على أيقونة سلة المهملات. بعد النقر على هذه الأيقونة، لن يظهر تكوين الوكيل المحدد بعد الآن في الجدول كتكوين وكيل محفوظ للمجموعة.

يُرجى ملاحظة أنه إذا قمت بإزالة تكوين وكيل محفوظ لمجموعة وكان هذا التكوين محددًا كتكوين خادم الوكيل الحالي للمجموعة، فسيؤدي ذلك أيضًا إلى تحديث تكوين خادم الوكيل الحالي للمجموعة بحيث لا يتم استخدام وكيل.

كيفية تثبيت عميل باستخدام وكيل (Proxy)

أولاً، انتقل إلى صفحة العملاء (Agents) الموجودة ضمن علامة التبويب العمليات (Operations) في الشريط الجانبي. ثم انقر على زر تنزيل العميل (Download Agent). سيؤدي النقر على هذا الزر إلى ظهور نافذة تنزيل العميل.

في هذه النافذة، إذا حددت مجموعة لديها تكوينات وكيل محفوظة، سيظهر خيار تحديد تكوين الوكيل لبرنامج التثبيت (Select Proxy Configuration for Installer) مع تحديد الإعداد الحالي للمجموعة كقيمة افتراضية. ستظهر أيضًا جميع تكوينات الوكيل المحفوظة للمجموعة كخيارات، بما في ذلك خيار عدم استخدام وكيل (Do Not Use Proxy).

عند اختيار استخدام وكيل لبرنامج التثبيت، فإن نوع برنامج التثبيت الوحيد الممكن هو مثبّت سطر الأوامر (Command Line Installer).

إذا حددت خيار عدم استخدام وكيل (Do Not Use Proxy)، ستظهر خيارات نوع برنامج التثبيت المعتادة لدينا.

يُرجى ملاحظة أنه إذا حددت تكوين وكيل لبرنامج التثبيت لا يطابق الإعداد الحالي للمجموعة، فسيعمل برنامج التثبيت بالإعداد المحدد ثم يتحول إلى إعداد تكوين الوكيل الحالي للمجموعة بعد التثبيت.

أين يمكنني معرفة ما إذا كان بإمكان العميل تجاوز الوكيل (Proxy)؟

يمكن للمستخدمين عرض ما إذا كان بإمكان العملاء الاتصال بخوادمنا دون استخدام وكيل، وذلك بالانتقال أولاً إلى صفحة العملاء الموجودة ضمن علامة التبويب العمليات في الشريط الجانبي. ثم حدد موقع عمود "Agent is Able to Bypass Proxy" في الجدول.

يُرجى ملاحظة أن عمود "Agent is Able to Bypass Proxy" لن يكون مرئيًا ما لم يكن المستخدم عضوًا في مجموعة قامت بتفعيل استخدام وكيل للعملاء ضمن المجموعة.

إذا كان العميل ضمن مجموعة قامت بتفعيل استخدام وكيل ولم يتمكن العميل من تجاوز الوكيل للاتصال بخوادمنا، ستظهر علامة x حمراء في العمود. اطلع على مثال لذلك أدناه:

إذا كان العميل ضمن مجموعة قامت بتفعيل استخدام وكيل وتمكن العميل من تجاوز الوكيل والاتصال بخوادمنا بشكل طبيعي، ستظهر علامة صح خضراء في العمود. اطلع على مثال لذلك أدناه: